Politique de confidentialité

1. Responsable du traitement

PaxHelios — entreprise individuelle d'Edwin Osayamwen, 1 rue du Fret, Cabinet Médical, 75018 Paris, France. SIRET 813 342 144 00066. Responsable du traitement : Edwin Osayamwen.

Contact — protection des données : Edwin Osayamwen — dpo@paxheliose-eval-psy.com.

Aucun délégué à la protection des données (DPO) n'est désigné : le RGPD ne l'impose que pour un traitement de données de santé à grande échelle (art. 37.1.c), ce que n'est pas cette activité. Vos demandes sont traitées directement par le responsable de traitement, à l'adresse ci-dessus, dans le délai d'un mois prévu par l'article 12.

Lorsque la plateforme est utilisée par un praticien indépendant ou une structure de soin pour ses propres patients, le praticien ou la structure agit en qualité de responsable de traitement au titre des soins, et PaxHelios agit en sous-traitant au sens de l'article 28 du RGPD. Une convention de sous-traitance (DPA) est établie à l'ouverture du compte professionnel.

2. Catégories de données traitées

• Identification : nom, prénom, email, date de naissance, genre, téléphone.
• Professionnelles (praticien) : titre, spécialité, n° RPPS / ADELI, structure de rattachement.
• Données de santé (catégorie particulière, art. 9 RGPD) : motif de consultation, antécédents, vulnérabilités, objectifs thérapeutiques, traitements, réponses aux questionnaires, scores, interprétations, alertes, notes cliniques, attestations.
• Données techniques : adresse IP, horodatage, identifiants de session, journaux d'audit, logs de sécurité.
• Communications : messages échangés via la messagerie sécurisée intégrée.

Les données de santé sont chiffrées au repos par algorithme AES-256-GCM. Les communications sont protégées par TLS 1.3.

3. Finalités et bases légales

La mesure d'usage porte exclusivement sur des indicateurs techniques et professionnels des comptes praticiens (fréquence d'utilisation des fonctions, état de l'abonnement), tenus sur un plan d'exploitation séparé de la plateforme de soin : aucune donnée de patient, réponse clinique ou identité issue du cabinet n'y est lue ni transférée.

4. Hébergement et sous-traitants

Votre dossier — identité, réponses, scores, notes cliniques, documents — est hébergé exclusivement en France, sur une infrastructure certifiée HDS (Hébergeur de Données de Santé).

Une seule fonction peut donner lieu à un transfert hors Union européenne : l'aide à la rédaction de synthèse par intelligence artificielle, si votre praticien l'utilise. Dans ce cas, un extrait pseudonymisé (sans nom, ni adresse, ni coordonnées) est transmis au fournisseur, aux États-Unis, sous convention de sous-traitance conforme à l'article 28 et clauses contractuelles types. Aucune autre donnée ne quitte l'Union européenne, et cette fonction est désactivable.

• Hébergement applicatif & base de données : Scalingo (France, région osc-fr1) — certifié HDS par le LNE, certificat n°38436, valable jusqu'au 11 septembre 2028.
• Stockage des documents patients : Scaleway (France, région fr-par) — Object Storage certifié HDS.
• Email transactionnel : Resend (servers EU), DPA RGPD signé.
• Supervision applicative : Sentry self-hosted en région EU (no PII).
• Plan d'exploitation commerciale (données professionnelles uniquement) : Supabase — Union européenne (AWS eu-west-3, Paris). Plan séparé de la plateforme de soin : aucune donnée de santé ni donnée de patient n'y est stockée.
• Sous-traitants IA (optionnels) : Anthropic, PBC et OpenAI, LLC — États-Unis, convention art. 28 signée, pseudonymisation préalable, aucun entraînement sur les données transmises, finalité strictement limitée à l'assistance de synthèse. Le logiciel refuse tout appel vers un fournisseur dont la convention n'est pas signée et datée.

La liste exhaustive et à jour des sous-traitants est tenue dans le registre des traitements, communicable sur simple demande à l'adresse ci-dessus.

5. Mesures de sécurité

• Chiffrement TLS 1.3 + HSTS preload pour toutes les communications.
• Chiffrement champ-à-champ AES-256-GCM des données patients sensibles au repos.
• Authentification renforcée : bcrypt + 2FA TOTP (obligatoire pour les praticiens).
• Déconnexion automatique après 15 minutes d'inactivité.
• Cloisonnement strict par rôle et par praticien (RBAC).
• Journaux d'audit immuables sur les accès aux dossiers, exports, modifications.
• Sauvegardes chiffrées quotidiennes, conservées 30 jours, restauration testée mensuellement.
• Tests de sécurité réguliers (revue de code, scan SAST/DAST, audit annuel externe).

6. Vos droits (articles 15 à 22 du RGPD)

• Accès à l'ensemble de vos données.
• Rectification des données inexactes.
• Effacement dans les limites des obligations légales de conservation (dossier médical 20 ans).
• Limitation du traitement dans les cas prévus par l'article 18.
• Portabilité des données fournies (exports JSON/CSV depuis votre espace).
• Opposition au traitement.
• Retrait du consentement à tout moment, sans effet rétroactif.
• Définition de directives post-mortem sur le sort de vos données.

Pour exercer vos droits, écrivez à dpo@paxheliose-eval-psy.com ou utilisez la page RGPD de la plateforme. Réponse sous 30 jours maximum (prolongeable de 60 jours en cas de complexité).

7. Cookies

Seuls des cookies strictement nécessaires au fonctionnement (session d'authentification, sécurité) sont déposés. Aucun cookie de tracking, d'analyse ou de publicité. Aucun consentement préalable n'est requis pour ces cookies (art. 82 LIL).

Détails sur la page cookies.

8. Notification de violation

En cas de violation susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, PaxHelios notifie la CNIL dans les 72 heures (art. 33) et informe les personnes concernées dans les meilleurs délais lorsque le risque est élevé (art. 34).

9. Réclamation auprès de la CNIL

Vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés : CNIL — 3 place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07 — www.cnil.fr.

10. AIPD (Analyse d'Impact)

Une analyse d'impact relative à la protection des données (AIPD) a été réalisée conformément à l'article 35 du RGPD, le traitement portant sur des données de santé à grande échelle. Elle est tenue à disposition de l'autorité de contrôle et révisée annuellement.